Como o RoguePlanet Concede Acesso de Nível SYSTEM

O RoguePlanet é um exploit de escalonamento local de privilégios (LPE) que ataca uma condição de corrida na lógica de remediação de arquivos do Microsoft Defender . Quando o Defender detecta um arquivo malicioso — especialmente um hospedado em um servidor SMB remoto — ele valida o caminho do arquivo antes de agir, como colocar em quarentena ou deletar. A vulnerabilidade existe porque o Defender não revalida o caminho no momento em que realiza a operação de escrita, criando uma janela de tempo estreita .

Um atacante que vença essa condição de corrida pode redirecionar o Defender para sobrescrever seus próprios arquivos legítimos ou executar código arbitrário, eventualmente gerando um prompt de comando com privilégios de SYSTEM . Isso fornece controle completo sobre a máquina, mas a abordagem tem uma ressalva significativa. O pesquisador descreveu o exploit como inerentemente não confiável, chamando-o de "tudo ou nada" e notando 100% de sucesso em algumas máquinas, mas falha completa em outras .

Vários detalhes técnicos chave definem a ameaça:

• Acesso inicial necessário: Um atacante já deve ter acesso de baixo privilégio à máquina alvo antes de tentar escalar .
• Confirmação independente: A empresa de segurança ThreatLocker reproduziu com sucesso o exploit em sistemas com todas as atualizações de junho de 2026 aplicadas .
• Nenhuma correção atual: No momento da divulgação, a vulnerabilidade afeta sistemas Windows 10 e Windows 11 totalmente corrigidos, sem nenhum patch disponível .

A técnica é uma continuação da pesquisa usada em divulgações anteriores do Nightmare Eclipse, como o BlueHammer (CVE-2026-33825), que também explorava uma condição de corrida do tipo time-of-check to time-of-use (TOCTOU) no processo de remediação do Defender .

Um Exploit Cronometrado para Ofuscar o Patch Tuesday

O Patch Tuesday de junho de 2026 da Microsoft corrigiu um recorde de 200 vulnerabilidades, incluindo correções para duas falhas do Defender — BlueHammer e RedSun — que o Nightmare Eclipse havia divulgado publicamente em meses anteriores . A escala massiva da atualização pretendia sinalizar uma resposta de segurança abrangente.

A Rapid7 observou que três das vulnerabilidades divulgadas publicamente no lote de junho estavam diretamente ligadas à saga em andamento com o Nightmare Eclipse . A resposta do pesquisador foi imediata e teatral. Em 28 de maio, uma postagem prometeu um lançamento zero-day "capaz de quebrar ossos" no Patch Tuesday . A entrega do RoguePlanet poucas horas após os patches irem ao ar foi uma declaração direta de que o processo era insuficiente .

A Disputa de Meses por Trás do Exploit

O lançamento do RoguePlanet não ocorreu isoladamente. É o sétimo zero-day publicado pelo Nightmare Eclipse desde abril de 2026, cada um escalando uma disputa amarga com a Microsoft que atraiu a comunidade de segurança mais ampla .

As Queixas do Pesquisador

Nightmare Eclipse, que também usa os pseudônimos Chaotic Eclipse e MSNightmare, alega ter submetido repetidamente relatos de vulnerabilidade através do portal oficial MSRC da Microsoft, apenas para ser ignorado, ter seus relatos fechados sem explicação, ou receber respostas desdenhosas . O pesquisador alega ainda que a Microsoft desativou suas contas no GitHub, GitLab e no portal MSRC, efetivamente cortando todos os canais oficiais para reportar bugs . Sentindo-se humilhado publicamente e sem recurso, o pesquisador começou a publicar exploits zero-day completos, incluindo código de prova de conceito funcional .

A Cascata de Zero-Days

Antes do RoguePlanet, seis vulnerabilidades haviam sido divulgadas publicamente, cada uma ampliando o escopo dos sistemas afetados:

• BlueHammer (CVE-2026-33825) — Uma condição de corrida no Defender levando a LPE
• RedSun (CVE-2026-41091) — Outra falha LPE no Defender
• UnDefend (CVE-2026-45498) — Uma terceira vulnerabilidade no Defender
• YellowKey, GreenPlasma e MiniPlasma — Falhas afetando componentes incluindo BitLocker e CTF

No final de maio, três delas — BlueHammer, RedSun e UnDefend — foram confirmadas como ativamente exploradas, e a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) as adicionou ao seu catálogo de Vulnerabilidades Conhecidas Exploradas .

A Resposta Escalada da Microsoft e a Retirada

A resposta inicial da Microsoft foi enérgica. A empresa publicou um post no blog condenando as divulgações não coordenadas como "irresponsáveis" e alertando que elas expunham os clientes a riscos significativos antes que patches estivessem disponíveis . A situação se intensificou no final de maio, quando a Microsoft ameaçou encaminhar o caso para aplicação da lei para investigação criminal, um movimento que gerou reação imediata da comunidade de segurança .

Críticos argumentaram que a forma como a Microsoft lidou com os relatos originais — ignorando ou fechando-os e revogando as contas do pesquisador — foi a causa raiz das divulgações públicas . A pressão teve um efeito mensurável. Em 2 de junho, a Microsoft suavizou publicamente sua postura, emitindo uma declaração de que "não tem intenção de processar indivíduos que conduzem ou publicam pesquisas de segurança" . O dano, no entanto, já era público, e o lançamento prometido para o Patch Tuesday chegou conforme programado.

O RoguePlanet é o produto tangível de um pipeline de divulgação quebrado. Ele demonstra um exploit funcional em sistemas que estavam, por todas as contas oficiais, totalmente seguros. Para os defensores, a lição imediata é que o Patch Tuesday sozinho não pode ser considerado um limite de segurança completo quando condições de corrida não resolvidas em produtos de segurança principais permanecem exploráveis.

Como o RoguePlanet Concede Acesso de Nível SYSTEM

O RoguePlanet é um exploit de escalonamento local de privilégios (LPE) que ataca uma condição de corrida na lógica de remediação de arquivos do Microsoft Defender . Quando o Defender detecta um arquivo malicioso — especialmente um hospedado em um servidor SMB remoto — ele valida o caminho do arquivo antes de agir, como colocar em quarentena ou deletar. A vulnerabilidade existe porque o Defender não revalida o caminho no momento em que realiza a operação de escrita, criando uma janela de tempo estreita .

Um atacante que vença essa condição de corrida pode redirecionar o Defender para sobrescrever seus próprios arquivos legítimos ou executar código arbitrário, eventualmente gerando um prompt de comando com privilégios de SYSTEM . Isso fornece controle completo sobre a máquina, mas a abordagem tem uma ressalva significativa. O pesquisador descreveu o exploit como inerentemente não confiável, chamando-o de "tudo ou nada" e notando 100% de sucesso em algumas máquinas, mas falha completa em outras .

Vários detalhes técnicos chave definem a ameaça:

• Acesso inicial necessário: Um atacante já deve ter acesso de baixo privilégio à máquina alvo antes de tentar escalar .
• Confirmação independente: A empresa de segurança ThreatLocker reproduziu com sucesso o exploit em sistemas com todas as atualizações de junho de 2026 aplicadas .
• Nenhuma correção atual: No momento da divulgação, a vulnerabilidade afeta sistemas Windows 10 e Windows 11 totalmente corrigidos, sem nenhum patch disponível .

A técnica é uma continuação da pesquisa usada em divulgações anteriores do Nightmare Eclipse, como o BlueHammer (CVE-2026-33825), que também explorava uma condição de corrida do tipo time-of-check to time-of-use (TOCTOU) no processo de remediação do Defender .

Um Exploit Cronometrado para Ofuscar o Patch Tuesday

O Patch Tuesday de junho de 2026 da Microsoft corrigiu um recorde de 200 vulnerabilidades, incluindo correções para duas falhas do Defender — BlueHammer e RedSun — que o Nightmare Eclipse havia divulgado publicamente em meses anteriores . A escala massiva da atualização pretendia sinalizar uma resposta de segurança abrangente.

A Rapid7 observou que três das vulnerabilidades divulgadas publicamente no lote de junho estavam diretamente ligadas à saga em andamento com o Nightmare Eclipse . A resposta do pesquisador foi imediata e teatral. Em 28 de maio, uma postagem prometeu um lançamento zero-day "capaz de quebrar ossos" no Patch Tuesday . A entrega do RoguePlanet poucas horas após os patches irem ao ar foi uma declaração direta de que o processo era insuficiente .

A Disputa de Meses por Trás do Exploit

O lançamento do RoguePlanet não ocorreu isoladamente. É o sétimo zero-day publicado pelo Nightmare Eclipse desde abril de 2026, cada um escalando uma disputa amarga com a Microsoft que atraiu a comunidade de segurança mais ampla .

As Queixas do Pesquisador

Nightmare Eclipse, que também usa os pseudônimos Chaotic Eclipse e MSNightmare, alega ter submetido repetidamente relatos de vulnerabilidade através do portal oficial MSRC da Microsoft, apenas para ser ignorado, ter seus relatos fechados sem explicação, ou receber respostas desdenhosas . O pesquisador alega ainda que a Microsoft desativou suas contas no GitHub, GitLab e no portal MSRC, efetivamente cortando todos os canais oficiais para reportar bugs . Sentindo-se humilhado publicamente e sem recurso, o pesquisador começou a publicar exploits zero-day completos, incluindo código de prova de conceito funcional .

A Cascata de Zero-Days

Antes do RoguePlanet, seis vulnerabilidades haviam sido divulgadas publicamente, cada uma ampliando o escopo dos sistemas afetados:

• BlueHammer (CVE-2026-33825) — Uma condição de corrida no Defender levando a LPE
• RedSun (CVE-2026-41091) — Outra falha LPE no Defender
• UnDefend (CVE-2026-45498) — Uma terceira vulnerabilidade no Defender
• YellowKey, GreenPlasma e MiniPlasma — Falhas afetando componentes incluindo BitLocker e CTF

No final de maio, três delas — BlueHammer, RedSun e UnDefend — foram confirmadas como ativamente exploradas, e a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) as adicionou ao seu catálogo de Vulnerabilidades Conhecidas Exploradas .

A Resposta Escalada da Microsoft e a Retirada

A resposta inicial da Microsoft foi enérgica. A empresa publicou um post no blog condenando as divulgações não coordenadas como "irresponsáveis" e alertando que elas expunham os clientes a riscos significativos antes que patches estivessem disponíveis . A situação se intensificou no final de maio, quando a Microsoft ameaçou encaminhar o caso para aplicação da lei para investigação criminal, um movimento que gerou reação imediata da comunidade de segurança .

Críticos argumentaram que a forma como a Microsoft lidou com os relatos originais — ignorando ou fechando-os e revogando as contas do pesquisador — foi a causa raiz das divulgações públicas . A pressão teve um efeito mensurável. Em 2 de junho, a Microsoft suavizou publicamente sua postura, emitindo uma declaração de que "não tem intenção de processar indivíduos que conduzem ou publicam pesquisas de segurança" . O dano, no entanto, já era público, e o lançamento prometido para o Patch Tuesday chegou conforme programado.

O RoguePlanet é o produto tangível de um pipeline de divulgação quebrado. Ele demonstra um exploit funcional em sistemas que estavam, por todas as contas oficiais, totalmente seguros. Para os defensores, a lição imediata é que o Patch Tuesday sozinho não pode ser considerado um limite de segurança completo quando condições de corrida não resolvidas em produtos de segurança principais permanecem exploráveis.